@oj-module/cli 0.2.18 → 0.2.23

package/templates/init.include.yaml

@@ -8,7 +8,7 @@
 #  2. 模板自运行专属文件——templates 本身也是一个可 `pnpm dev` 的工程，
 #     它的 package.json / node_modules / bin / lock 绝不能泄漏进用户工程；
 #     package.json 由 init 现场生成（钉死真实版本，不带 workspace:/catalog:）。
-#  3. 构建与运行期产物——api/dist、web/dist、api/logs、签发的私钥与 sqlite；
+#  3. 构建与运行期产物——api/dist、web/dist、logs、签发的私钥与 sqlite；
 #     模板跑过 build/dev 后会留在本地，既不进用户工程，更不该让所有工程
 #     共享同一把私钥。
 #  4. 模板自用元数据——本清单自身。
@@ -32,43 +32,48 @@ include:
   - tsconfig.json
   - global.d.ts
   - env.d.ts
+  # 别名类型兜底（`declare module "#*"`，非模块文件）。`tsconfig.paths.json` 不在此列：
+  # 它由 init 按目标工程的模块清单**现场生成**（模板兼作 demo 工程，多出的模块不该带过去）
+  - types
   - web.config.ts
   - openapi.json
-  - web/src/styles.css
-  # —— api 后端：配置 / 种子 / 测试 / 默认模块 ——
-  - api/config.yaml
-  - api/.ojm-api-exempt.json
-  - api/seed.mysql.sql
-  - api/seed.pg.sql
-  - api/vitest.config.ts
-  - api/tests
-  - api/src/_platform
-  - api/src/auth
-  - api/src/notification
-  - api/src/personal-center
-  - api/src/system
-  - api/src/web
+  - src/styles.css
+  # 后端 typecheck 工程（package.json 的 typecheck:api 指向它）；只收后端、排除 web
+  - src/tsconfig.json
+  # —— 后端：配置 / 种子 / 测试 / 默认模块（模块源码在 src/<name>/api）——
+  - config.yaml
+  - .ojm-api-exempt.json
+  - seed.mysql.sql
+  - seed.pg.sql
+  - vitest.config.ts
+  - tests
+  - src/_platform/api
+  - src/auth/api
+  - src/notification/api
+  - src/personal-center/api
+  - src/system/api
+  - src/web/api
   # —— web 前端模块（demo/home 只列页面源码，__client 见顶部说明）——
-  - web/src/_platform
-  - web/src/auth
-  - web/src/demo/entry.ts
-  - web/src/demo/locales
-  - web/src/demo/pages
-  - web/src/home/entry.ts
-  - web/src/home/locales
-  - web/src/home/pages
-  - web/src/login
-  - web/src/notification
+  - src/_platform/web
+  - src/auth/web
+  - src/demo/web/entry.ts
+  - src/demo/web/locales
+  - src/demo/web/pages
+  - src/home/web/entry.ts
+  - src/home/web/locales
+  - src/home/web/pages
+  - src/login/web
+  - src/notification/web
   # 解决方案市场：默认第一方能力。逐子路径收录——__tests__ 不进脚手架
   # （用户工程无 web 侧 vitest 基建，拷了是死文件）
-  - web/src/oj-market/entry.ts
-  - web/src/oj-market/types.ts
-  - web/src/oj-market/api
-  - web/src/oj-market/components
-  - web/src/oj-market/hooks
-  - web/src/oj-market/locales
-  - web/src/oj-market/pages
-  - web/src/oj-market/utils
-  - web/src/personal-center
-  - web/src/system
-  - web/src/web
+  - src/oj-market/web/entry.ts
+  - src/oj-market/web/types.ts
+  - src/oj-market/web/api
+  - src/oj-market/web/components
+  - src/oj-market/web/hooks
+  - src/oj-market/web/locales
+  - src/oj-market/web/pages
+  - src/oj-market/web/utils
+  - src/personal-center/web
+  - src/system/web
+  - src/web/web

package/templates/package.json

@@ -9,7 +9,9 @@
 		"preview": "ojm preview",
 		"info": "ojm info",
 		"typecheck": "tsc --noEmit -p tsconfig.json",
-		"typecheck:api": "tsc --noEmit -p api/tsconfig.json"
+		"typecheck:api": "tsc --noEmit -p src/tsconfig.json",
+		"bundle": "ojm build --bundle",
+		"new": "ojm new"
 	},
 	"devDependencies": {
 		"@ant-design/cssinjs": "catalog:",

package/templates/{api/src/_platform → src/_platform/api}/_lifecycle/installer.ts

@@ -89,6 +89,8 @@ export interface InstallRequest extends InstallContext {
 	expected?: string[]
 	/** 安装器内部通道（外部调用方忽略）：终态审计读 status/failedStage/taskId + migrate 捕获 appliedSeq */
 	outcome?: { taskId?: string, status?: TaskStatus, failedStage?: InstallStage, appliedSeq?: number | null, cancelled?: boolean }
+	/** 安装器内部通道（reloading → smoke）：本次新追加进 auth.anonymous_paths 的路径（restart_pending，探活对其 401 判待重启） */
+	deferredAnonymous?: string[]
 	/**
 	 * 取消安装令牌（U5，P3-8）：运行期外部置位（端点 `?cancel=<taskId>` 或任务状态 `cancelling` 驱动的闭包），
 	 * 返回 true 即中止——PIPELINE 循环每段前探测 + migrating 段 spawn 流逐块探测；幂等、可重入
@@ -347,6 +349,8 @@ async function reloadStage(req: InstallRequest): Promise<StageResult> {
 		const anonymous = Array.isArray(api.anonymous) ? api.anonymous.filter((x): x is string => typeof x === "string") : [];
 		const patched = anonymous.length > 0 ? appendAnonymousPaths(bumped.content, anonymous) : { content: bumped.content, added: [] };
 		await atomicWriteText(path, patched.content);
+		// 交接给 smoke：本次真正新增的匿名路径在重启前恒 401（restart_pending）
+		req.deferredAnonymous = patched.added;
 	}
 	catch (e) {
 		return { stage: "reloading", ok: false, retryable: true, message: `热更失败：config.yaml 安装序号自增/匿名端点接线失败（${String(e)}）——reload unchanged 判定基于 config 文档 sha，无变更则热更不可能生效（B-11，PRD E5 口径）` };

package/templates/{api/src/_platform → src/_platform/api}/_lifecycle/steps/smoke.ts

@@ -30,6 +30,12 @@ export interface SmokeContext extends InstallContext {
 	modulesJsonPath: string
 	/** 注册快照查询；缺省回落 queryRegistered（isolate db 全局；测试注入 stub） */
 	query?: (name: string) => Promise<SolutionSnapshot | null>
+	/**
+	 * 本次安装**新追加**进 config.yaml `auth.anonymous_paths` 的路径（reloading 段注入，带前导 /）。
+	 * 匿名接线属 restart_pending（reload 段已明示），本进程内尚未生效——探活对这些路径的
+	 * 401 判「待重启」而非失败；已在配置里却仍 401 才是真失败（说明接线或守卫有问题）。
+	 */
+	deferredAnonymous?: string[]
 }
 
 export interface StageResult {
@@ -116,6 +122,7 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 	const web = isObj(m.web) ? m.web : undefined;
 
 	// ① 探活：health 优先（2xx），缺省首个非匿名路由（连通即可）
+	const notes: string[] = [];
 	try {
 		const health = typeof m.health === "string" && m.health !== "" ? m.health : undefined;
 		const target = health ?? firstNonAnonymousRoute(m);
@@ -123,7 +130,18 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 			const url = probeUrlOf(ctx.apiPrefix, target);
 			const res = await ctx.fetch(url);
 			if (health !== undefined && !res.ok) {
-				failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });
+				// 本次安装新增的匿名接线尚未生效（restart_pending）：此处的 401 反映的是
+				// 「宿主还没重启」，不是包或站点的问题——判待重启并落人话提示，不判失败。
+				const rel = (s: string) => s.replace(/^\/+/, "");
+				const healthRel = rel(health);
+				const pending = (ctx.deferredAnonymous ?? []).some(a => healthRel === rel(a) || healthRel.startsWith(`${rel(a)}/`));
+				const deferred = res.status === 401 && pending;
+				if (deferred) {
+					notes.push(`探活 ${url} 返回 401：该端点是本次安装新增的匿名路径（auth.anonymous_paths），匿名接线属 restart_pending——重启宿主后生效，不计入失败`);
+				}
+				else {
+					failures.push({ item: "探活", retryable: true, reason: `health 端点 ${url} 返回 HTTP ${res.status}（C2-33 冒烟探针要求 2xx）` });
+				}
 			}
 		}
 	}
@@ -205,7 +223,8 @@ export async function smoke(ctx: SmokeContext): Promise<StageResult> {
 	// ④ entry 浏览器加载不在安装器验（设计 §4.1）——无判定，口径钉于成功 message。
 
 	if (failures.length === 0) {
-		return { stage: "smoke", ok: true, message: "冒烟通过：探活 / integrity / 注册一致性 三项全过（entry 浏览器加载不在安装器验——设计 §4.1，宿主 error boundary + P2 深检兜底）" };
+		const passed = "冒烟通过：探活 / integrity / 注册一致性 三项全过（entry 浏览器加载不在安装器验——设计 §4.1，宿主 error boundary + P2 深检兜底）";
+		return { stage: "smoke", ok: true, message: notes.length === 0 ? passed : `${passed}\n${notes.map(n => `- ${n}`).join("\n")}` };
 	}
 	return {
 		stage: "smoke",

package/templates/{api/src/_platform → src/_platform/api}/fixtures/l1-test-user.sql

@@ -1,10 +1,9 @@
 -- L1 测试账号（仅 `oj test` 经 fixtures 灌入，不进 release 产物）。
 --
--- 为什么不能用 seed 的 admin 跑 L1 登录：
---   ① seed 的 admin 是 must_change=1 首登改密态（D12 生产语义），且初始口令 123456
---      只是开发便利——用户在 dev 库改过口令后（产品主动引导），admin 口令即漂移，
---      L1 若绑 admin/123456 会随机 401（本地实测踩过：dev 库口令被改成 12345678）。
---   ② 判权类端点（currentAccess/assertPermission）对 must_change=1 恒 403。
+-- 为什么不能用 seed 的开发账号（admin/superadmin 等）跑 L1 登录：
+--   ① seed 账号初始口令 123456 只是开发便利——用户在 dev 库改过口令后，口令即漂移，
+--      L1 若绑 seed 账号会随机 401（本地实测踩过：dev 库口令被改成 12345678）。
+--   ② 不用 must_change 解释：seed 账号现均为 0（2026-10-22 口径）；真正的原因是 ①。
 -- 故 additive 建一个专用账号：INSERT OR IGNORE 幂等，反复重放终态一致，
 -- 不碰 admin 既有行（用户的口令/状态不受 `oj test` 影响）。
 -- 按分号朴素切分（S006）：语句内不得含分号字面量。

package/templates/{api/src/_platform → src/_platform/api}/market/api.ts

@@ -52,9 +52,9 @@ export interface MarketEnv {
 	trustPath: string
 	/** sqlite 库文件路径（R14 备份源；模板 config.yaml `sqlite://db.sqlite` → 站点根 db.sqlite） */
 	dbPath: string
-	/** 站点 web 模块目录（<dist>/modules） */
+	/** 站点 web 模块目录（站点产物根下的 modules/） */
 	siteModulesDir: string
-	/** 站点 modules.json 路径（与 siteModulesDir 同属 <dist>） */
+	/** 站点 modules.json 路径（与 siteModulesDir 同属站点产物根） */
 	modulesJsonPath: string
 	/** API 前缀（smoke 探针 URL 前缀） */
 	apiPrefix: string
@@ -78,17 +78,20 @@ export interface MarketEnv {
 	/** 迁移账本 head 真源（P1-16 接线①：缺省读 oj journal 表 `_oj_migrations` max(version)，查询失败 → null 不猜） */
 	ledgerHeadOf?: (name: string) => Promise<number | bigint | null>
 	/**
-	 * 宿主 versions.json（C2-09 peerRuntime 比对真源，键 = 包名）。缺省读 <dist>/versions.json
-	 * （ojm 宿主构建产物，与 modules.json 同目录，B-11 接线）；不可得 → undefined，manifest 声明
-	 * peerRuntime 即预检 fail-closed 拒装（C2-09 语义保持）。
+	 * 宿主 versions.json（C2-09 peerRuntime 比对真源，键 = 包名）。缺省读 `<sharedRoot>/versions.json`
+	 * （ojm 宿主构建产物：与 manifests.yaml 同层，即 release 根，B-11 接线）；不可得 → undefined，
+	 * manifest 声明 peerRuntime 即预检 fail-closed 拒装（C2-09 语义保持）。
 	 */
 	hostVersions?: Record<string, string>
 }
 
-/** 宿主 versions.json 布局推导（B-11）：与 modules.json 同目录（<dist>/versions.json） */
-export function versionsJsonPathOf(modulesJsonPath: string): string {
-	const slash = modulesJsonPath.lastIndexOf("/");
-	return slash === -1 ? "versions.json" : `${modulesJsonPath.slice(0, slash)}/versions.json`;
+/**
+ * 宿主 versions.json 布局推导（B-11）：与 manifests.yaml 同层（release 根 = `sharedRoot`），
+ * 不是站点产物根——两处根在 `src/<name>/{api,web}` 布局下已分流（`api/dist` vs `web/dist`）。
+ */
+export function versionsJsonPathOf(releaseRoot: string): string {
+	const trimmed = releaseRoot.replace(/\/+$/, "");
+	return trimmed === "" ? "versions.json" : `${trimmed}/versions.json`;
 }
 
 /** 宿主 versions.json 解析（纯函数）：{packageName: version} 全字符串表；任何违约 → undefined（fail-closed 不猜） */
@@ -113,30 +116,37 @@ export function parseVersionsJson(text: string): Record<string, string> | undefi
 	return out;
 }
 
-/** hostVersions 注入缺省：显式注入优先，否则读 <dist>/versions.json；不可得 → undefined（C2-09 fail-closed） */
+/** hostVersions 注入缺省：显式注入优先，否则读 `<sharedRoot>/versions.json`；不可得 → undefined（C2-09 fail-closed） */
 async function hostVersionsOf(env: MarketEnv): Promise<Record<string, string> | undefined> {
 	if (env.hostVersions !== undefined) {
 		return env.hostVersions;
 	}
 	try {
-		return parseVersionsJson(new TextDecoder().decode(await fsFace().readFile(versionsJsonPathOf(env.modulesJsonPath))));
+		return parseVersionsJson(new TextDecoder().decode(await fsFace().readFile(versionsJsonPathOf(env.sharedRoot))));
 	}
 	catch {
 		return undefined;
 	}
 }
 
-/** oj serve release 布局生产缺省（P1-16 B3/B4；全字段可覆盖） */
+/**
+ * oj serve release 布局生产缺省（P1-16 B3/B4；全字段可覆盖）。
+ *
+ * 两处根在 `src/<name>/{api,web}` 布局下分流，且都相对 fs jail 根（= config.yaml 所在目录）：
+ *   release 根 `api/dist` —— 版本目录 / manifests.yaml / versions.json / migrations（后端产物）
+ *   站点根   `web/dist`   —— modules/ + modules.json（前端产物，安装器 upsert 的落点）
+ * 暂存 / 任务 / 状态 / 信任库 / db 仍在 jail 根下：它们是安装器私有面，不属任何产物根。
+ */
 export function marketEnv(): MarketEnv {
 	return {
-		sharedRoot: "dist",
+		sharedRoot: "api/dist",
 		staging: "modules/.staging",
 		taskDir: "modules/.install-tasks",
 		statePath: "modules/.solutions/state.yaml",
 		trustPath: ".solutions/trusted-keys.yaml",
 		dbPath: "db.sqlite",
-		siteModulesDir: "dist/modules",
-		modulesJsonPath: "dist/modules.json",
+		siteModulesDir: "web/dist/modules",
+		modulesJsonPath: "web/dist/modules.json",
 		apiPrefix: "/api",
 		ledgerHeadOf: journalHeadOf,
 	};

package/templates/src/_platform/api/seed.mysql.sql

@@ -0,0 +1,16 @@
+-- _platform 种子数据 mysql 方言覆盖（方言覆盖文件必胜；INSERT OR IGNORE → INSERT IGNORE）。
+-- 语句分号切分与注释纪律同基线 seed.sql；账号口径同基线（账号名=角色名，must_change=0）。
+INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('superadmin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('editor', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1);
+INSERT IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'superadmin';
+INSERT IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'admin' FROM users WHERE username = 'admin';
+INSERT IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'editor' FROM users WHERE username = 'editor';
+INSERT IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'viewer' FROM users WHERE username = 'viewer';

package/templates/src/_platform/api/seed.pg.sql

@@ -0,0 +1,16 @@
+-- _platform 种子数据 pg 方言覆盖（方言覆盖文件必胜；INSERT OR IGNORE → ON CONFLICT DO NOTHING）。
+-- 语句分号切分与注释纪律同基线 seed.sql；账号口径同基线（账号名=角色名，must_change=0）。
+INSERT INTO users (username, password_hash, must_change) VALUES ('superadmin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0) ON CONFLICT DO NOTHING;
+INSERT INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0) ON CONFLICT DO NOTHING;
+INSERT INTO users (username, password_hash, must_change) VALUES ('editor', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0) ON CONFLICT DO NOTHING;
+INSERT INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0) ON CONFLICT DO NOTHING;
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'superadmin' ON CONFLICT DO NOTHING;
+INSERT INTO sys_user_role (user_id, role_name) SELECT id, 'admin' FROM users WHERE username = 'admin' ON CONFLICT DO NOTHING;
+INSERT INTO sys_user_role (user_id, role_name) SELECT id, 'editor' FROM users WHERE username = 'editor' ON CONFLICT DO NOTHING;
+INSERT INTO sys_user_role (user_id, role_name) SELECT id, 'viewer' FROM users WHERE username = 'viewer' ON CONFLICT DO NOTHING;

package/templates/{api/src/_platform → src/_platform/api}/seed.sql

@@ -1,16 +1,27 @@
 -- _platform 种子数据（只放数据，DDL 归 migrations/，S006 纪律）。
 -- 方言覆盖：seed.mysql.sql / seed.pg.sql（INSERT OR IGNORE 为 sqlite 专属语法，方言文件必胜，同迁移约定）。
 -- 注意：seed 按英文分号朴素切分语句，注释里也不要出现英文分号。
--- 账号生命周期 D12：admin 为 seed 超管（superadmin），must_change=1 首登强制改密——
--- 初始口令 123456 仅为开发便利，must_change 闭环兜底默认凭据窗口（口令不随机生成的取舍见计划 A2 阶段小结）
-INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 1);
+-- 账号生命周期 D12（2026-10-22 调整）：四个内置角色各一个开发账号，**账号名=角色名**
+-- （superadmin/admin/editor/viewer，避免心智负担），口令均 123456，must_change=0 免首登改密——
+-- 纯开发便利（默认凭据不随机生成的取舍见计划 A2 阶段小结），生产部署须改密或删除
+INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('superadmin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('editor', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('viewer', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 0);
+-- 历史 seed 把 admin 绑在 superadmin 上；收敛为账号名=角色名（幂等 DELETE，每次重放生效）。
+-- 已存在库中 admin 行可能残留 must_change=1，UPDATE 统一收敛为 0（四个均为 seed 自有开发账号）
+DELETE FROM sys_user_role WHERE role_name = 'superadmin' AND user_id = (SELECT id FROM users WHERE username = 'admin');
+UPDATE users SET must_change = 0 WHERE username IN ('superadmin', 'admin', 'editor', 'viewer');
 -- 框架内置角色（ROLES 单一真相：superadmin 安全敏感项 / admin 日常管理 / editor、viewer 页面门）
 INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);
 INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1);
 INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1);
 INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1);
--- seed 超管绑定（sys_user_role 唯一权威源，D10）
-INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'admin';
+-- 角色绑定（sys_user_role 唯一权威源，D10）：账号名=角色名一一对应
+INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'superadmin';
+INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'admin' FROM users WHERE username = 'admin';
+INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'editor' FROM users WHERE username = 'editor';
+INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'viewer' FROM users WHERE username = 'viewer';
 -- 系统设置默认值（PRD §4.3；C4 设置页 / C5 登录方式发现的数据源；framework.market_cdn_url 安全组仅 superadmin 可改）
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('framework.site_title', 'framework', 'general', 'string', 'React Antd Admin', 'React Antd Admin', 'system:setting.site_title', 0, 0);
 INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('framework.market_cdn_url', 'framework', 'security', 'string', '', '', 'system:setting.market_cdn_url', 0, 0);

package/templates/{api/src/_platform → src/_platform/api}/solutions/api.ts

@@ -30,12 +30,16 @@ import { journalHeadOf, siteOrigin } from "../_shared/site-facade";
 /** 线格式行（与 packages/runtime/src/api/rbac/types.ts 的 SolutionRouteRow 对齐） */
 export type { SolutionRouteRow } from "../_lifecycle/verify-checks";
 
-/** oj serve release 布局生产缺省 */
+/**
+ * oj serve release 布局生产缺省（与 marketEnv 同口径，见其注释）：
+ *   sharedRoot     = 后端 release 根（版本目录 / migrations）
+ *   modulesJsonPath = 站点产物根下的 modules.json（web 入口 integrity 真源）
+ */
 export function solutionsEnv(): SolutionsEnv {
 	return {
-		sharedRoot: "dist",
+		sharedRoot: "api/dist",
 		statePath: "modules/.solutions/state.yaml",
-		modulesJsonPath: "dist/modules.json",
+		modulesJsonPath: "web/dist/modules.json",
 		apiPrefix: "/api",
 	};
 }

package/templates/{api/src/auth → src/auth/api}/_shared/login-throttle.ts

@@ -1,7 +1,7 @@
 // 登录限速编排（B5/AC1-26）：auth/login 与 auth/ldap-login 共用的 (IP, username) 双维度守卫 + 失败记账。
 // 状态全在 DB（sys_login_throttle/sys_rate_window，迁移 0009）——oj 每请求重建模块，进程内方案恒失效（§9.3-3）。
-import { auditOp } from "../../_platform/_shared/service/infra/audit";
-import { loginBlocked, loginFailed, loginSucceeded, rateLimit } from "../../_platform/_shared/service/infra/rate";
+import { auditOp } from "#/_platform/_shared/service/infra/audit";
+import { loginBlocked, loginFailed, loginSucceeded, rateLimit } from "#/_platform/_shared/service/infra/rate";
 
 /** 客户端 IP：优先 X-Forwarded-For（反代后），回落 X-Real-IP。 */
 export async function clientIp(): Promise<string> {

package/templates/{api/src/auth → src/auth/api}/_shared/session.ts

@@ -4,8 +4,8 @@
 // B4：access JWT 仅载 sub（roles 走登录响应/资料接口，不进 claims）。
 // B3：refresh = 不透明随机串 + DB 存 SHA-256 哈希（sys_refresh_token，迁移 0008）；
 //     轮换作旧 + 滑动窗口（绝对 TTL 封顶 min(旧 exp, now+30d)）；reuse 检测全族吊销 + 审计。
-import { invalidateUser } from "../../_platform/_shared/service/infra/access";
-import { recordOp } from "../../_platform/_shared/service/infra/audit";
+import { invalidateUser } from "#/_platform/_shared/service/infra/access";
+import { recordOp } from "#/_platform/_shared/service/infra/audit";
 
 export interface SessionDeps {
 	randomHex: (bytes: number) => string

package/templates/{api/src/auth → src/auth/api}/api.ts

@@ -1,4 +1,4 @@
-import { respond } from "../_platform/_shared/respond";
+import { respond } from "#/_platform/_shared/respond";
 // oj 嵌套 handler 组：组名 = 路径段（login → POST /api/auth/login，路由不变）。
 // 阶段 B 登录链（D14/AC1-12/13/27）：领域逻辑全在 _shared/session.ts（createSession 注入 deps），
 // handler 只编排：取参 → 调 service → json 信封；B5 限速收敛在 _shared/login-throttle.ts（与 ldap-login 共用）。

package/templates/{api/src/auth → src/auth/api}/ldap-login/api.ts

@@ -1,6 +1,6 @@
 // POST /api/auth/ldap-login —— LDAP 目录登录（D1/AC1-12；匿名端点，E6：anonymous_paths 写 /auth/ldap-login）。
 // 编排：B5 限速守卫（与 auth/login 同维度）→ ldapLogin 九步 → respond 统一异常出口（§9.3-1）。
-import { respond } from "../../_platform/_shared/respond";
+import { respond } from "#/_platform/_shared/respond";
 import { createLdapLogin, runtimeLdapGateway } from "../_shared/ldap-login";
 import { clientIp, guardLoginThrottle, noteLoginFailed, noteLoginSucceeded } from "../_shared/login-throttle";
 import { createSession } from "../_shared/session";

package/templates/src/auth/api/manifest.yaml

@@ -0,0 +1,6 @@
+name: auth
+desc: JWT 鉴权端点（业务路由）：login/refresh/logout；Bearer 守卫由 oj-auth 提供
+version: 0.1.0
+deps: # 两处都用：login/refresh 读 _platform.users（ownership_guard: deny，§3/S003）；
+  # 跨模块别名 `#/_platform/…` 的依赖门禁（oj build S008）
+  _platform: ^0.1.0

package/templates/{web/src/oj-market → src/oj-market/web}/__tests__/InstallDialog.test.tsx

@@ -1,5 +1,6 @@
 import type { IndexRow, TaskRecord } from "../types";
-import { screen, waitFor } from "@testing-library/react";
+import { fireEvent, screen, waitFor } from "@testing-library/react";
+import { useState } from "react";
 import { describe, expect, it } from "vitest";
 import { InstallDialog } from "../components/InstallDialog";
 import { InMemoryMarketClient } from "./marketClient.fake";
@@ -69,4 +70,55 @@ describe("installDialog 安装进度（BDD）", () => {
 		expect(client.calls).toContain("install:alpha@1.1.0");
 		expect(screen.getByText("回滚中")).toBeTruthy();
 	});
+
+	it("given needs_trust 终态 When 打开 Then 渲染指纹与确认按钮，点击后入库并重试安装", async () => {
+		const pending: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "needs_trust",
+			stage: "verifying",
+			progress: 18,
+			message: "待信任确认",
+			stages: [],
+			trust: { key_id: "alpha.author", public_key: "ab".repeat(32), fingerprint: "6afc".repeat(16) },
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: pending, installResult: { task_id: "t1" } });
+		renderWithProviders(<InstallDialog row={row} open onClose={() => {}} />, client);
+		const button = await screen.findByText("指纹一致，信任并重试");
+		expect(screen.getByTestId("install-trust-fingerprint").textContent).toContain("6afc".repeat(16));
+		fireEvent.click(button);
+		await waitFor(() => expect(client.calls).toContain("trust:t1"));
+		// 确认入库后自动重试同一安装（staging 未清场，服务端续跑）
+		await waitFor(() => expect(client.calls.filter(c => c.startsWith("install:")).length).toBe(2));
+	});
+
+	it("given 终态 When 父级每次渲染都换 onDone 身份 Then 只通告一次（防 onDone→重渲染→onDone 死循环）", async () => {
+		const done: TaskRecord = {
+			id: "t1",
+			name: "alpha",
+			version: "1.2.0",
+			status: "done",
+			stage: "done",
+			progress: 100,
+			message: "ok",
+			stages: [],
+			startedAt: 0,
+		};
+		const client = new InMemoryMarketClient({ taskRecord: done, installResult: { task_id: "t1" } });
+		function Harness() {
+			const [n, setN] = useState(0);
+			return (
+				<>
+					<span data-testid="done-count">{n}</span>
+					<InstallDialog row={row} open onClose={() => {}} onDone={() => setN(v => v + 1)} />
+				</>
+			);
+		}
+		renderWithProviders(<Harness />, client);
+		await waitFor(() => expect(screen.getByTestId("install-message").textContent).toBe("ok"), { timeout: 5000 });
+		await new Promise(resolve => setTimeout(resolve, 50));
+		expect(screen.getByTestId("done-count").textContent).toBe("1");
+	});
 });

package/templates/{web/src/oj-market → src/oj-market/web}/__tests__/marketClient.fake.ts

@@ -11,6 +11,7 @@ export interface FakeState {
 	enableResult?: { ok: boolean, message: string }
 	uninstallResult?: { ok: boolean, message: string }
 	installResult?: { task_id: string }
+	trustResult?: { result: string, key_id: string, fingerprint: string }
 }
 
 export class InMemoryMarketClient implements MarketClient {
@@ -49,6 +50,11 @@ export class InMemoryMarketClient implements MarketClient {
 		} as TaskRecord);
 	}
 
+	async trust(taskId: string) {
+		this.calls.push(`trust:${taskId}`);
+		return this.state.trustResult ?? { result: "added", key_id: "k1", fingerprint: "f".repeat(64) };
+	}
+
 	async enable(input: EnableInput) {
 		this.calls.push(`enable:${input.name}:${input.enabled}`);
 		return this.state.enableResult ?? { ok: true, message: "ok" };

package/templates/{web/src/oj-market → src/oj-market/web}/api/client.ts

@@ -24,6 +24,11 @@ export interface MarketClient {
 	install: (input: InstallInput) => Promise<{ task_id: string }>
 	/** 任务轮询消费面（query 形态 ?id=） */
 	task: (id: string) => Promise<TaskRecord>
+	/**
+	 * TOFU 确认：把 needs_trust 任务记录里的发布方 key 写入宿主信任库（服务端自任务记录重取
+	 * 公钥复算指纹比对，防混淆代理）。确认成功后重试同一安装即可续跑（staging 未清场）。
+	 */
+	trust: (taskId: string) => Promise<{ result: string, key_id: string, fingerprint: string }>
 	/** 生命周期开关（同步 setEnabled，无任务模型；{ok,message} 200 渲染 ok 位） */
 	enable: (input: EnableInput) => Promise<{ ok: boolean, message: string }>
 	/** 市场操作历史（_platform 只读端点 /_platform/market/history） */

package/templates/{web/src/oj-market → src/oj-market/web}/api/context.ts

@@ -1,5 +1,5 @@
 import type { MarketClient } from "./client";
-import { createContext, useContext } from "react";
+import { createContext, use } from "react";
 import { httpMarketClient } from "./defaultClient";
 
 /** 市场客户端上下文（依赖注入位；默认 = 运行时 HTTP 实现，测试可替换为内存 fake） */
@@ -7,5 +7,5 @@ export const MarketClientContext = createContext<MarketClient>(httpMarketClient)
 
 /** 组件/hooks 取客户端（默认注入运行时实现） */
 export function useMarketClient(): MarketClient {
-	return useContext(MarketClientContext);
+	return use(MarketClientContext);
 }

package/templates/{web/src/oj-market → src/oj-market/web}/api/defaultClient.ts

@@ -25,9 +25,10 @@ import {
 	platformMarketInstallPost,
 	platformMarketMetaGet,
 	platformMarketTaskGet,
+	platformMarketTrustPost,
 	platformMarketUninstallImpactGet,
 	platformMarketUninstallPost,
-} from "../../_platform/__client/api";
+} from "../../../_platform/web/__client/api";
 
 // 绑定运行时 request 到生成 client 的模块级单槽（生成 client 是静态单例，必须由某处
 // bindRequest；此处兜底确保市场子应用无论挂载顺序都能拿到请求实例）。与 _platform 模块
@@ -96,6 +97,11 @@ export const httpMarketClient: MarketClient = {
 		// 运行时形状由服务端真源 + DEV zod 校验保证，TS 侧以领域类型为准。
 		return (await platformMarketTaskGet({ id })) as unknown as TaskRecord;
 	},
+	async trust(taskId: string) {
+		// 服务端自任务记录重取公钥复算指纹比对（防混淆代理），前端只传 task_id，不传公钥
+		const data = await platformMarketTrustPost({ task_id: taskId });
+		return data as { result: string, key_id: string, fingerprint: string };
+	},
 	async enable(input: EnableInput) {
 		const data = await platformMarketEnablePost({ name: input.name, enabled: input.enabled });
 		return data as { ok: boolean, message: string };